Você deve usar Preparação de PDO
Do link:
Chamar PDO::prepare() e PDOStatement::execute() para instruções que serão emitidas várias vezes com diferentes valores de parâmetro otimiza o desempenho de seu aplicativo, permitindo que o driver negocie o cache do cliente e/ou servidor do plano de consulta e metainformações e ajuda a evitar ataques de injeção de SQL, eliminando a necessidade de citar manualmente os parâmetros .
